JP2013114614A - 情報流通システムとそのアクセス制御方法 - Google Patents

Abstract

【課題】上述した二律背反の問題に対し、ユーザのアクセス制御設定の操作性を損ねることなく、情報流通の処理速度と運用効率の向上を図る。
【解決手段】データ要求側ＰＣ１及びデータ提供側ＰＣ２に当該装置が保存しているデータに対するアクセス制御情報を保存しておくと共に、アクセス制御機能振り分け機能部１３，２３を新たに備える。そして、このアクセス制御機能振り分け機能部１３，２３により、リクエストが発生したとき、その内容を上記保存されているアクセス制御情報に記述された条件と比較してアクセス制御条件を満たしているか否かを判定し、アクセス制御条件を満たしている場合にはデータ要求側ＰＣ１又はデータ提供側ＰＣ２内でアクセス制御を実行し、上記アクセス制御条件を満たしていない場合にはアクセス制御を集中管理ＰＣ３に振り分けて実行させる。
【選択図】図２

Description

この発明は、公式文書等の電子ファイルを通信ネットワークを介して複数のユーザ間で流通させる情報流通システムとそのアクセス制御方法に関する。

ＩＣＴ（Information and Communications Technology）が広く普及している現在において、ユーザの個人情報は複数の管理主体が個別に運営するサーバ上でそれぞれ保存されるようになっている。すなわち、ユーザの個人情報が複数のサーバ上で分散管理されている。例えば、病院で管理されている個人の診療結果や検査結果といった医療データがこれに該当する。また、ウェブサービスにおける、アカウントデータとサービスを利用した際のアプリケーション用データがこれに相当する。現在では、アプリケーションとデータ管理の機能分離が進み、１つのアプリケーションが分散管理されるデータを自由に流通させる取組みが進んでいる。

この分散管理されているデータを自由に流通させる取り組み（以降、分散管理データ流通サービスと呼ぶ）においては、ユーザの意図しないデータアクセスが行われることが重要な問題となっている。これまで個別に管理していたデータは、管理主体のみで管理されていれば、物理的に取得する以外にユーザの意図しないデータアクセスが発生するリスクはない。このため、データアクセスの仕組みには、必ずデータへのアクセスを制御する機能が搭載されている。

しかし、このアクセスを制御する機能は、データを流通する装置間の制御データのやり取り、つまりリクエスト・レスポンスの処理の流れに依存した動作となる。このため、データを流通するシステムの構築手法によっては、利点が生まれる反面、問題点も発生する場合がある。

例えば、サービスサーバで管理されているデータに対し、ユーザが自身のクライアント端末からネットワークを介してアクセスする場合を想定すると、この時の装置間の処理の流れは、クライアント端末、つまりデータ要求側のパーソナル・コンピュータ（以後ＰＣと略称する）から「誰が、どのデータに、どうアクセスするか」というリクエストを送信し、そのリクエストを受けたデータサーバ、つまりデータ提供側ＰＣが、該当する結果をレスポンスとしてデータ要求側ＰＣに返信するというものとなる。このリクエスト・レスポンスによる一連の処理（以降情報流通と呼ぶ）を行うに当たっては、データ要求側ＰＣ及びデータ提供側ＰＣでそれぞれリクエスト・レスポンスの中身を相互に解釈することが必要となる。

そのためには、例えばあるデータ提供側ＰＣ１で管理されているデータをデータ要求側ＰＣから取得する場合を想定すると、「誰が」に相当する部分を双方のＰＣで共通の識別子が割り当てられているユーザＩＤとすると共に、「どのデータに」に相当する部分をデータ提供側ＰＣ１のデータベースで管理されているテーブル名とし、さらに「どうアクセスするか」については［登録／閲覧／削除／更新］といったアクションを「誰が」、「どのデータに」、「どうアクセスするか」の順序でリクエストとして指定しなければならない。

このリクエスト・レスポンスにおける、「誰が」、「どのデータに」「どうアクセスするか」の項目の順序を、ここではリクエスト・レスポンスの文法と呼び、各項目にて指定される記述、同じ閲覧アクションでも［view］，［refer］，［get］といった様々な指定記述を用語と呼ぶこととする。

データ要求側ＰＣとデータ提供側ＰＣとが１対１の情報流通であれば、双方の間で文法と用語を決めれば、リクエスト・レスポンスの相互解釈が可能になる。しかし、データ要求側ＰＣとデータ提供側ＰＣとが、１対多、多対１、多対多で情報流通するトポロジーにおいては、リクエスト・レスポンスの相互解釈を行うための方法としては、大きく分けて２つの方式を採る。

第１の方式は、１対１の延長上で、情報流通する対象のデータ提供側ＰＣのリクエスト・レスポンスの文法と用語が異なっており、データ要求側ＰＣがデータ提供側ＰＣの数だけリクエスト・レスポンスの文法と用語を個別に管理する方式である。この方式を以後個別管理方式と呼ぶ（例えば、特許文献１又は特許文献２を参照）。

この方式では、情報流通のサービス運用時に、あるデータ提供側ＰＣがリクエスト・レスポンスの文法あるいは用語を変更する場合には、そのデータ提供側ＰＣと関係のない情報流通には影響しないという利点を持つ。その一方で、データ要求側ＰＣにとっては、情報流通対象となるデータ提供側ＰＣ全てのリクエスト・レスポンスの文法と用語を管理しておかなければならないため、データ要求側ＰＣの問い合わせロジックが複雑化するという問題点が発生する。

第２の方式は、情報流通をしようとする対象ＰＣの全リクエスト・レスポンスの文法と用語を別のＰＣで集中管理或いは解釈する方式である。この方式を以後集中管理方式と呼ぶ。この方式では、リクエスト・レスポンスの文法や用語を、集中管理用ＰＣで解釈することによって、集中管理用のＰＣ配下にある全てのデータ要求側ＰＣが文法と用語を意識せずに情報流通できるという利点を持つ。その一方で、リクエスト・レスポンスの文法や用語は全てデータ要求側ＰＣに関わるため、情報流通として反映させるためには共有資産となる集中管理サーバへの更新が必要となり、あるデータ提供側ＰＣで文法や用語を容易に変更することができない。また、全情報流通に係る文法や用語を集中管理用ＰＣで管理するため、情報流通をする際に集中管理用ＰＣに負荷が集中するという問題点が発生する。

特開２０１１−１００３６１号公報 特開２０１１−１００３６２号公報

ユーザの情報が複数のデータ提供側ＰＣに分散されている場合に、ユーザのデータを意図しないアクセスから守るためにデータ提供側ＰＣが行うアクセス制御の機能は、情報流通の途中で実施される。このアクセス制御の機能は、「誰が、どのデータに、どうアクセスするか」というデータ要求側ＰＣからのリクエストに対して、データ提供側ＰＣがレスポンスを返して良いかどうかを判定する処理（以降アクセス制御処理と呼ぶ）を含む。そして、この処理で必要な、ユーザが設定するアクセス制御判定のための条件文はリクエスト・レスポンスの文法や用語に依存する。このため、ユーザが情報流通の途中の段階で実施するアクセス制御の機能を実現する方式は、この利点と問題点の影響を受け、新たに以下の様な利点と問題点が発生する。

（１）分散管理方式
利点；データへのアクセス制御判定のための条件文は、当該データを保有するデータ提供側ＰＣごとに管理される。また、アクセス制御処理は、データ要求側ＰＣからのデータ要求リクエストと併せて、データ提供側ＰＣ内でアクセス制御判定を実施することで、情報流通時の通信回数は低減される。このため、情報流通の処理速度に与える影響は小さい。また、前述したものとは別のデータ要求側ＰＣとデータ提供側ＰＣ間の情報流通に影響は与えない。
問題点；その一方で、ユーザは自分のデータが管理されている複数の提供側ＰＣで、個別にアクセス制御判定のための条件文を作成しなければならない。

（２）集中管理方式
利点；当該データへのアクセス制御判定のための条件文を集中管理用ＰＣで管理することで、ユーザは複数のデータ提供側ＰＣにある自身のデータに対するアクセス制御判定のための条件文をリクエスト・レスポンスの文法・用語の違いを考えることなく、一元的に管理することができる。
問題点；その一方で、集中管理用ＰＣを介したアクセス制御処理であるため通信回数は増え、情報流通の処理速度への影響度は大きくなる。また、全てのアクセス制御処理が集中管理用ＰＣに集中するので、負荷の集中に伴う全体の情報流通への影響が出る可能性がある。

すなわち、ユーザのアクセス制御設定の利便性の向上を目的として集中管理用ＰＣにアクセス制御設定の保持及びアクセス制御処理を実行させると、集中管理用ＰＣに負荷が集中し、情報流通の処理速度と運用者の運用効率を招く。
この発明は上記事情に着目してなされたもので、その目的とするところは、上述した二律背反の問題に対し、ユーザのアクセス制御設定の操作性を損ねることなく、情報流通の処理速度と運用効率の向上を図った情報流通システムとそのアクセス制御方法を提供することにある。

上記目的を達成するためにこの発明の１つの観点は、提供対象のデータを保存する複数のデータ提供側装置と、上記保存されたデータに対するアクセス要求を生成するデータ要求側装置と、上記複数のデータ提供側装置及びデータ要求側装置に対しネットワークを介して接続され、かつ上記複数のデータ提供側装置に保存されたデータに対するアクセス制御に必要なアクセス制御情報を保持すると共に、当該アクセス制御情報に基づくアクセス制御を実行するアクセス制御手段を備えた集中管理装置とを具備する情報流通システムにおいて、上記データ要求側装置及びデータ提供側装置の少なくとも一方が、以下のような処理を実行するようにしたものである。
すなわち、自装置が保存するデータに対するアクセス制御に必要な条件が記述されたアクセス制御情報を保存しておく。そして、上記データ要求側装置において上記アクセス要求が生成されたとき、当該アクセス要求の内容を表す情報を取得し、この取得されたアクセス要求の内容を表す情報を上記保存されているアクセス制御情報に記述された条件と照合してアクセス制御条件を満たしているか否かを判定する。この判定の結果、上記アクセス制御条件を満たしている場合には、上記取得されたアクセス要求の内容を表す情報及び上記保存されているアクセス制御情報に基づいて、提供対象のデータに対するアクセス制御を自装置内で実行する。これに対し、上記アクセス制御条件を満たしていない場合には、上記集中管理装置にアクセス制御を振り分けて当該集中管理装置のアクセス制御手段にアクセス制御を実行させるようにしたものである。

したがって、データへのアクセス制御情報が基本的に集中管理装置で一括管理されるので、ユーザは自分のデータが管理されている複数の提供側装置において個別にアクセス制御情報を作成して設定する作業が不要となり、これによりアクセス制御情報の設定に要する手間を減らすと共に設定誤りの発生を防止し、ユーザの作業負担を軽減することが可能となる。すなわち、集中管理方式の利点をそのまま享受することができる。

しかも、データ要求側装置又はデータ提供側装置には当該装置が保存するデータに関係するアクセス制御情報のみが設定され、この情報をもとにアクセス要求の振り分け判定が行われ、条件が適合する場合にはデータ要求側装置又はデータ提供側装置においてアクセス制御が実行される。このため、全てのアクセス制御を無条件に集中管理装置で実行する場合に比べ、集中管理装置とデータ要求側装置又はデータ提供側装置との間の通信トラフィックと集中管理装置による処理負荷を軽減することができ、これによりアクセス要求に対する応答性の向上を図ることが可能となる。

また、この発明の１つの観点は以下のような態様を備えることを特徴とする。
第１の態様は、上記データ要求側装置及びデータ提供側装置の少なくとも一方が、上記取得されたアクセス要求の内容を表す情報が上記自装置内でのアクセス制御に必要な情報要素を全て含んでいるか或いは不足しているかを判定し、必要な情報要素が不足していると判定された場合に、上記集中管理装置に対し問い合わせを行って該当するアクセス制御情報を再取得する処理を、さらに実行するようにしたものである。

このようにすると、アクセス要求の内容が必要情報を全て含んでいない状態でアクセス制御の振り分け判定が行われないようにすることができ、これにより必要情報の不足が原因でアクセス制御が集中管理装置に振り分けられる機会を減らして、集中管理装置により実行されるアクセス制御の回数を低減し、この結果集中管理装置の処理負荷をさらに減らすことができる。

第２の態様は、上記不足判定処理及び再取得処理を、上記自装置内でのアクセス制御に必要な情報要素が全て取得できるまで、予め設定した回数を限度に繰り返し実行するようにしたものである。
このようにすると、集中管理装置が管理するアクセス制御情報が不十分な場合に、半永久的にアクセス制御情報の再取得処理が繰り返される不具合は防止される。

すなわちこの発明によれば、ユーザのアクセス制御設定の操作性を損ねることなく、情報流通の処理速度と運用効率の向上を図った情報流通システムとそのアクセス制御方法を提供することができる。

この発明の一実施形態に係る情報流通システムの機能構成を示すブロック図。 図１に示したデータ提供側ＰＣのアクセス制御処理振り分け機能部の処理手順と処理内容を示す図。 図２に示したアクセス制御処理振り分け処理に用いる処理振り分け設定情報の表現例を示す図。 この発明の一実施形態に係るアクセス制御方法によるリクエスト・レスポンス等の制御データの流れを示すシーケンス図。 従来の集中管理方式によるリクエスト・レスポンス等の制御データの流れを示すシーケンス図。

以下、図面を参照してこの発明に係わる実施形態を説明する。
［一実施形態］
（構成）
図１は、この発明の一実施形態に係る情報流通システムの機能構成を示すブロック図である。
この情報流通システムは、複数のデータ要求側パーソナル・コンピュータ（以後ＰＣと略称する）１と、複数のデータ提供側ＰＣ２と、少なくとも一つの集中管理用ＰＣ３とを備え、これらのＰＣ間で通信ネットワーク４を介して情報流通のための通信を行えるようにしたものである。

なお、通信ネットワーク４は、公衆電話網や、光ファイバ、ＣＡＴＶ（Cable Television）又は有線ＬＡＮ（Local Area Network）等の有線通信網、携帯電話網やホットスポット（登録商標）、WiMAX（登録商標）、無線ＬＡＮ等の無線通信網により構成される。

データ要求側ＰＣ１は、例えばユーザが使用するクライアント端末又はサーバからなり、この発明の前提となる機能として、ＩＤ連携制御機能部１１と、情報流通制御機能部１２と、アクセス制御機能部１３と、情報流通アプリケーション実行部１５と、ＩＤ連携制御データ記憶部１６と、情報流通制御データ記憶部１７と、アクセス制御用データ記憶部１８を備えている。

データ提供側ＰＣ２は例えばサービス事業者が運用するサービスサーバからなり、この発明の前提となる機能として、上記データ要求側ＰＣ１と同様にＩＤ連携制御機能部２１と、情報流通制御機能部２２と、アクセス制御機能部２３と、情報流通アプリケーション実行部２５と、ＩＤ連携制御データ記憶部２６と、情報流通制御データ記憶部２７と、アクセス制御用データ記憶部２８と、情報流通用データ記憶部２９を備えている。

集中管理用ＰＣ３は、通信事業者等が運用する管理サーバからなり、この発明の前提となる機能として、上記データ要求側ＰＣ１及びデータ提供側ＰＣ２と同様に、ＩＤ連携制御機能部３１と、情報流通制御機能部３２と、アクセス制御機能部３３と、情報流通アプリケーション実行部３５と、ＩＤ連携制御データ記憶部３６と、情報流通制御データ記憶部３７と、アクセス制御用データ記憶部３８を備えている。

ＩＤ連携制御機能部１１，２１，３１は、情報流通のリクエスト・レスポンスの項目である「誰が」を文法、用語に併せて生成する機能を有する。ＩＤ連携制御データ記憶部１６，２６，３６は、それぞれ上記ＩＤ連携制御機能部１１，２１，３１で用いるデータのもととなるＩＤ連携制御データを記憶するために用いられる。ＩＤ連携制御データは、データ要求側ＰＣ１、データ提供側ＰＣ２及び集中管理用ＰＣ３においてそれぞれ固有に管理される。

情報流通制御機能部１２，２２，３２は、情報流通のリクエスト・レスポンスの項目である「どのデータに」と「どうアクセスするか」を文法、用語にあわせて生成する機能を有する。情報流通制御データ記憶部１７，２７，３７は、それぞれ上記情報流通制御機能部１２，２２，３２で用いるデータのもととなる情報流通制御データを記憶するために用いられ、この情報流通制御データもデータ要求側ＰＣ１、データ提供側ＰＣ２及び集中管理用ＰＣ３においてそれぞれ固有に管理される。

アクセス制御機能部１３，２３，３３は、アクセス制御処理を実施し、データ要求側ＰＣ１とデータ提供側ＰＣ２との間で情報流通を成立あるいは拒否する。アクセス制御用データ記憶部１８，２８，３８は、それぞれ上記アクセス制御機能部１３，２３，３３がアクセス制御のために必要なアクセス制御データを記憶するために用いられる。

情報流通アプリケーション実行部１５，２５，３５は、それぞれデータ要求側ＰＣ１、データ提供側ＰＣ２及び集中管理用ＰＣ３のユーザの操作に応じて、リクエスト及びレスポンスの内容を設定する処理と、アクセス制御に関する機能や設定内容を変更する処理を実行する。データ提供側ＰＣ２の情報流通用データ記憶部２９には、流通対象となるデータが蓄積される。

ところで、データ要求側ＰＣ１及びデータ提供側ＰＣ２は、この発明を実施するために必要な新たな機能として、アクセス制御機能振り分け機能部１３，２３を備えている。アクセス制御機能振り分け機能部１３，２３は、アクセス情報取得機能と、処理振り分け設定情報取得機能と、処理振り分け判定機能とを有している。

アクセス情報取得機能は以下の処理機能を有する。
(1) データ要求側ＰＣ１から、その情報流通制御機能部１２により生成されたリクエスト内容を取得する処理。リクエストは、データ要求側ＰＣ１の利用者の入力操作により作成される。
(2) 後述する処理振り分け判定機能において振り分け判定に必要な情報が不足し、当該処理振り分け判定機能から必要情報の取得要求を受け取った場合に、集中管理用ＰＣ３のＩＤ連携制御機能部３１或いは情報流通制御機能部３２に対し問い合わせを行い、上記必要な情報を再取得する処理。
(3) 上記アクセス情報再取得処理により取得要求を送信したにもかかわらず、処理振り分け判定機能から再度取得要求を受け取った場合に、アクセス制御処理振り分け処理を中止して、集中管理用ＰＣ３のアクセス制御機能部３３を呼び出す処理。

処理振り分け設定情報取得機能は、データ要求側ＰＣ１或いはデータ提供側ＰＣ２が、アクセス制御処理を実施するＰＣを集中管理用ＰＣ３にするか、或いは自己のデータ要求側ＰＣ１或いはデータ提供側ＰＣ２にするかを判定するために用いる振り分けの条件文を取得する処理を行う。なお、この条件文は運用管理者の操作により事前に設定されてＰＣ内に保存されている。

処理振り分け判定機能は以下の処理機能を有する。
(1) データ要求側ＰＣ１の情報流通制御機能部１２により生成されたリクエスト内容を、処理振り分け設定情報取得機能により取得された振り分け条件と比較する。そして、リクエスト内容が振り分け条件に適合すると判定された場合には、自己のデータ要求側ＰＣ１或いはデータ提供側ＰＣ２のアクセス制御機能部１４，２４を呼び出し、当該アクセス制御機能部１４，２４に対してアクセス制御処理を要求する。一方、リクエスト内容が振り分け条件に適合しないと判定された場合には、集中管理用ＰＣ３のアクセス制御機能部３３を呼び出し、当該アクセス制御機能部３３に対してアクセス制御処理を要求する処理。
(2) 上記アクセス情報取得機能により取得された必要情報が、処理振り分け判定処理に必要な全ての情報を持っていない場合に、上記アクセス情報取得機能に対し再度必要情報の取得要求を送信する処理。

一方、集中管理用ＰＣ３は、この発明を実施するために必要な新たな機能として、アクセス制御設定アプリケーション実行部３４を有している。このアクセス制御設定アプリケーション実行部３４はアクセス設定条件文反映機能を有する。
アクセス制御条件文反映機能は、ユーザが集中管理用ＰＣ３のアクセス制御設定アプリケーション実行部３４を用いてアクセス制御文を入力し設定した際に、当該アクセス制御文の中身を解析して、対象データを保管するデータ提供側ＰＣ２のアクセス制御用データ記憶部２８に当該条件文を書き込む処理を実行する。

（動作）
次に、以上のように構成された情報流通システムによるアクセス制御動作を説明する。
情報流通システムの運営組織あるいは人物として、集中管理用ＰＣ３の運用者と、データ要求側ＰＣ１或いはデータ提供側ＰＣ２の運用者と、ユーザが存在する。
集中管理用ＰＣ３の運用者は、集中管理用ＰＣの運営組織に属し、集中管理用ＰＣ３の運営権を持つ。データ要求側ＰＣ１あるいはデータ提供側ＰＣ２の運用者は、自ＰＣ１，２の運営組織に属し、自ＰＣ１，２の運営権と集中管理用ＰＣ３で管理されている自組織のデータ操作権を持つ。ユーザは、複数のデータ要求側ＰＣ１或いはデータ提供側ＰＣ２運営組織に属し、情報流通のリクエスト・レスポンスと、アクセス制御に関する機能や設定変更を処理する情報流通用アプリケーションを操作する権限を持つ。ただし、集中管理用ＰＣ３の運用者は、データ要求側ＰＣ１或いはデータ提供側ＰＣ２の運用者を兼ねても構わない。

（１）運用開始準備及び初期設定
先ず集中管理用ＰＣ３では、情報流通サービスを開始しようとする、複数のデータ要求側ＰＣ１或いはデータ提供側ＰＣ２の運営組織で管理されているユーザのデータを紐づける処理と、情報流通を行うためのリクエスト・レスポンス及びアクセス制御の設定についてメンテナンスを行う処理が、以下のように行われる。

すなわち、集中管理用ＰＣ３は、データ要求側ＰＣ１或いはデータ提供側ＰＣ２から情報流通対象のデータに対するリクエスト・レスポンスが送られると、情報流通制御機能部３２の制御の下で、当該リクエスト・レスポンスを情報流通制御データ記憶部３７に蓄積する。

その際、データ要求側ＰＣ１或いはデータ提供側ＰＣ２の運用者及びユーザに対しては、アクセス制御処理機能部３３及びアクセス制御用データ記憶部３８に記憶されたアクセス制御用データの利用許可を予め与え、アクセス制御処理機能部１４，２４及びアクセス制御処理振り分け機能部１３，２３の処理を実行させるためのプログラム及びアクセス制御用データを提供する。データ要求側ＰＣ１或いはデータ提供側ＰＣ２の運用者又はユーザは、上記提供されたアクセス制御処理機能部１４，２４及びアクセス制御処理振り分け機能部１３，２３を自己のＰＣ１，２にインストールすると共に、アクセス制御用データをアクセス制御用データ記憶部１８，２８に記憶させる。

なお、アクセス制御処理機能部１４，２４とアクセス制御処理振り分け機能部１３，２３のインストールとアクセス制御用データの記憶処理は、事前にデータ要求側ＰＣ１或いはデータ提供側ＰＣ２にプログラム及び制御用データを追加オプションとして用意しておき、情報流通サービスの運用開始準備の段階でアクティベートキーを集中管理用ＰＣ３の運用者からデータ要求側ＰＣ１或いはデータ提供側ＰＣ２の運用者又はユーザに提供し、当該運用者又はユーザがウエブ上で当該キー入力することでインストールするようにしてもよい。また、該当する機能のプログラム及び制御用データをオプションパッケージとしてメディアに記録しておき、必要なときに当該プログラム及び制御用データを追加インストールするようにしてもよい。

また、アクセス制御処理の振り分け判定に用いる処理振り分け設定情報の設定は、例えば以下のように行われる。
すなわち、データ提供側ＰＣ２の運用者は、自己のＰＣの情報流通用データ記憶部２９で管理している情報流通用データに対するアクセス制御処理を自己のＰＣで処理する場合には、インストールしたアクセス制御処理振り分け処理プログラムの中の、処理振り分け設定情報取得機能により取得する処理振り分け設定情報に振り分け条件を記述する。このとき、処理振り分け設定情報はデータベースとして保持しても、また設定ファイルとして保持しても構わない。

図３は、処理振り分け設定情報を設定ファイルとして保持した場合を示したものである。同図では、<ActorInfo>と</ActorInfo>との間で表現されている部分が「誰が」に関する条件、<ServiceType>と</ ServiceType >との間で表現されている部分が「どのデータに」に関する条件である。「ActorInfo」や「ServiceType」の定義は、アクセス情報取得ブロックで取得できる情報と同じ定義にすることが望ましいが、処理振り分け判定処理で判定できるものであれば、異なる定義にしても構わない。

また、ここで例示はしないが、「どうしたいか」という条件を設定してもよい。振り分け条件は、<List></List>の中にそれぞれＯＲ条件として記載することを推奨する。条件の粒度については、「誰が」に関する条件で記載されているように、ユーザの「所属」や情報流通基盤で管理する「認証方式ＩＤ」、どのＰＣからのリクエストであるかを示す「ＰＣＩＤ」などの粒度で細かくアンド条件として設定してもよい。なお、集中管理用ＰＣ３で実施する場合には、アクセス制御処理振り分け機能部のインストール後、何の設定変更もせずにそのままにしておけばよい。

なお、ユーザは、複数のデータ提供側ＰＣに自身のデータが分散して管理されている場合であっても、集中管理用ＰＣ３のアクセス制御設定アプリケーション実行部３４を利用して条件文を作成することができる。この条件文の作成操作を行うと、集中管理用ＰＣ３のアクセス制御設定アプリケーション実行部３４がアクセス制御処理を実行するＰＣを検索し、該当するＰＣのアクセス制御用データ記憶部１８，２８に記憶されているアクセス制御用データに、上記作成された条件部を書き込む。

（２）アクセス制御処理の振り分け
データ要求側ＰＣ１、情報流通用アプリケーション実行部１５，２５，３５により表示された入力画面を利用して、その運用者又はユーザが、データ提供側ＰＣ２の情報流通用データ記憶部２９に記憶されているデータに対する登録、変更又は削除等のデータ操作を行うために、リクエストを作成するための情報、例えば「誰が」、「どのデータに」、「どうしたいか」を表す情報を入力したとする。なお、このリクエストに必要な情報の入力は、情報流通用アプリケーション実行部１５，２５，３５により表示される入力画面を利用して行われる。

上記入力操作が行われると、データ要求側ＰＣ１、データ提供側ＰＣ２又は集中管理用ＰＣ３では、情報流通用アプリケーション実行部１５，２５，３５の制御の下で、上記入力された必要情報をもとにリクエストの作成が行われる。そして、この作成されたリクエストを表す情報流通制御データは、情報流通制御機能部１３，２３，３３によりデータ操作先となるＰＣ、例えばデータ提供側ＰＣ２に転送される。

データ提供側ＰＣ２は、情報流通制御機能部２２により上記リクエストを受信すると、アクセス制御処理振り分け機能部２３の制御の下で以下のようなアクセス制御の振り分け処理を実行する。図２はその処理手順と処理内容を示すフローチャートである。
すなわち、上記リクエストを受信するとアクセス制御処理振り分け機能部２３は、先ずステップＳ１において、当該受信されたリクエストから必要情報、つまり「誰が」、「どのデータに」、「どうしたいか」を表す情報を取得する。続いてステップＳ２において、データ要求側ＰＣ１或いはデータ提供側ＰＣ２の運用者又はユーザの権限の下で予め設定された処理振り分け設定情報を取得する。次にステップＳ３において、上記ステップＳ１により取得された必要情報に処理振り分け判定処理に必要な情報が全て含まれているか否かを判定する。そして、処理に必要な情報が不足していると判定された場合には、上記ステップＳ１に対し必要情報の再取得を要求する。

上記必要情報の再取得を要求されるとステップＳ１は、データ要求側ＰＣ１のＩＤ連携制御機能部１１或いは情報流通制御機能部１２に対し問い合わせを行い、上記必要な情報を再取得する。ステップＳ３は、上記再取得された必要情報について処理振り分け判定処理に必要な情報が全て含まれているか否かを再度判定する。そして、依然として不足している場合には上記ステップＳ１に対し必要情報の再取得を要求する。以降、必要な情報が得られるまで、予め設定された回数だけ上記必要情報の問い合わせ処理が繰り返し実行される。なお、上記問い合わせ処理の実行回数の設定方法としては、集中管理用ＰＣ３等から収集して設定しもよいし、データベースを構築してもよく、また設定ファイルとして予め保持しておくようにしてもよい。

上記ステップＳ３により必要情報が取得されたことが確認されたとする。そうするとアクセス制御処理振り分け機能部２３は、ステップＳ３において、上記取得されたリクエスト内容を上記ステップＳ２により取得された振り分け条件と比較する。そして、リクエスト内容が振り分け条件に適合するか否かを判定する。この判定の結果、適合する場合には自己のデータ提供側ＰＣ２のアクセス制御機能部２４を呼び出し、当該アクセス制御機能部２４に対してアクセス制御処理を要求する。したがって、データ提供側ＰＣ２のアクセス制御機能部２４では、上記リクエストの内容に従い、情報流通用データ記憶部２９に格納されたデータに対するアクセス制御が実行される。

一方、ステップＳ３において、リクエスト内容が振り分け条件に適合しないと判定された場合には、集中管理用ＰＣ３のアクセス制御機能部３３を呼び出し、当該アクセス制御機能部３３に対してアクセス制御処理を要求する。したがって、この場合には集中管理用ＰＣ３のアクセス制御機能部３３において、上記リクエストの内容に従い、情報流通用データ記憶部２９に格納されたデータに対するアクセス制御が実行される。

なお、アクセス制御機能部１４，２４，３３及びアクセス制御用データの仕組みや構成に関しては、「誰が」、「どのデータに」、「どうしたいか」という内容を基に判定する仕組みであれば、処理の内容はアクセス制御処理を情報流通のどのタイミングで何回行うかなども含めてどのように設定してもよい。また「誰が」という情報については、本実施形態の情報流通基盤を構成するＩＤ連携制御機能部１１，２１，３１及びＩＤ連携制御データにおいて、情報流通基盤上で管理するユーザや運用者を個々に特定できる内容であれば、データ構造は問わない。さらに「どのデータに」という情報については、情報流通基盤を構成する情報流通制御機能部１２，２２，３２及び情報流通制御データにおいて、情報流通基盤上に存在する唯一のデータに特定できる内容であれば、データ構造は問わない。

また、情報流通基盤として、分散管理型と集中管理型を両立する構成をとるため情報流通基盤上に集中管理用ＰＣ３も含まれるが、特定の情報流通に対するリクエスト・レスポンスを、当該リクエストに関与する要求側ＰＣ１と提供側ＰＣ２が相互で持ち合ってもよい。この特定の情報流通に対するアクセス制御処理を実施する場合には、集中管理用ＰＣ３と同一の仕組みでなくてよい。

（実施形態による効果）
以上詳述したようにこの実施形態では、データ要求側ＰＣ１及びデータ提供側ＰＣ２に当該装置が保存しているデータに対するアクセス制御情報を保存しておくと共に、アクセス制御機能振り分け機能部１３，２３を新たに備える。そして、このアクセス制御機能振り分け機能部１３，２３により、リクエストが発生したときその内容を上記保存されているアクセス制御情報に記述された条件と比較してアクセス制御条件を満たしているか否かを判定し、アクセス制御条件を満たしている場合にはデータ要求側ＰＣ１又はデータ提供側ＰＣ２内でアクセス制御を実行し、上記アクセス制御条件を満たしていない場合にはアクセス制御を集中管理ＰＣ３に振り分けて実行させるようにしている。

したがって、データへのアクセス制御情報が基本的に集中管理ＰＣ３で一括管理されるので、ユーザは自分のデータが管理されているデータ要求側ＰＣ１及びデータ提供側ＰＣ２において個別にアクセス制御情報を作成して設定する作業が不要となり、これによりアクセス制御情報の設定に要する手間を軽減すると共に誤りの発生を防止し、ユーザの作業負担を大幅に軽減することが可能となる。すなわち、集中管理方式の利点をそのまま享受することが可能となる。

また、データ要求側ＰＣ１又はデータ提供側ＰＣ２には当該装置が保存するデータに関係するアクセス制御情報のみが設定され、この情報をもとにアクセス要求の振り分け判定が行われ、条件が適合する場合にはデータ要求側ＰＣ１又はデータ提供側ＰＣ２においてアクセス制御が実行される。このため、全てのアクセス制御を無条件に集中管理ＰＣ３で実行する場合に比べ、集中管理ＰＣ３とデータ要求側ＰＣ１又はデータ提供側ＰＣ２との間の通信トラフィックと集中管理ＰＣ３における処理負荷を軽減することが可能となり、これによりアクセス要求に対する応答性の向上を図ることができる。

図４は、この実施形態に係るアクセス制御方法によるリクエスト・レスポンス等の制御データの基本的な流れを示すもので、アクセス制御はデータ提供側ＰＣ２において実行されるため、集中管理ＰＣ３とデータ提供側ＰＣ２との間の通信トラフィックは低減され、また集中管理ＰＣ３における処理負荷も軽減される。ちなみに、従来の集中管理方式によれば、例えば図５に示すように常にデータ提供側ＰＣ２から集中管理ＰＣ３にアクセス制御処理要求が送られて、集中管理用ＰＣ３でアクセス制御が実行されるので、集中管理ＰＣ３とデータ提供側ＰＣ２との間の通信トラフィックは増加し、また集中管理ＰＣ３における処理負荷が高くなる。

さらにこの実施形態によれば、アクセスの振り分け判定に際し、取得されたアクセス要求の内容を表す情報が自装置内でのアクセス制御に必要な情報要素を全て含んでいるか或いは不足しているかを判定し、必要な情報要素が不足していると判定された場合には集中管理ＰＣ３に対し問い合わせを行って該当するアクセス制御情報を再取得するようにしている。このため、リクエストの内容が必要情報を全て含んでいない状態ではアクセス制御の振り分け判定が行われないようにすることができ、これにより必要情報の不足が原因でアクセス制御が集中管理ＰＣ３に振り分けられる機会を減らして、集中管理ＰＣ３により実行されるアクセス制御の回数を低減し、この結果集中管理ＰＣ３の処理負荷をさらに減らすことができる。

しかも、上記不足判定処理及び再取得処理を、自装置内でのアクセス制御に必要な情報要素が全て取得できるまで、予め設定した回数を限度に繰り返し実行するようにしている。したがって、集中管理ＰＣ３が管理するアクセス制御情報が不十分な場合に、半永久的にアクセス制御情報の再取得処理が繰り返される不具合を防止することができる。

［その他の実施形態］
なお、この発明は上記実施形態に限定されるものではない。例えば、データ要求側ＰＣ１、データ提供側ＰＣ２及び集中管理用ＰＣ３は、ＰＣ以外にサーバにより構成してもよく、その他これらのデータ要求側装置、データ提供側装置及び集中管理装置の構成やその機能、処理振り分け設定情報の構成等についても、この発明の要旨を逸脱しない範囲で種々変形して実施可能である。

また、前記実施形態では医療データを流通させるシステムを例にとって説明したが、流通対象のデータとしてはメーカや商社、金融機関が管理する顧客データや発注データ、売上データ等の各種データ、従業員の出退勤データ等の人事データ、学校や予備校等が管理する生徒の個人データを取り扱ってもよい。

要するにこの発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。さらに、異なる実施形態に亘る構成要素を適宜組み合せてもよい。

１…データ要求側ＰＣ、２…データ提供側ＰＣ、３…集中管理用ＰＣ、４…ネットワーク、１１，２１，３１…ＩＤ連携制御機能部、１２，２２，３２…情報流通制御機能部、１３，２３…アクセス制御処理振り分け機能部、１４，２４，３３…アクセス制御機能部、１５，２５，３５…情報流通用アプリケーション実行部、１６，２６，３６…ＩＤ連携制御データ記憶部、１７，２７，３７…情報流通制御データ記憶部、１８，２８，３８…アクセス制御用データ記憶部、２９…情報流通用データ記憶部、３４…アクセス制御設定アプリケーション実行部。

Claims (6)

1. 提供対象のデータを保存する複数のデータ提供側装置と、前記保存されたデータに対するアクセス要求を生成するデータ要求側装置と、前記複数のデータ提供側装置及びデータ要求側装置に対しネットワークを介して接続され、かつ前記複数のデータ提供側装置に保存されたデータに対するアクセス制御に必要なアクセス制御情報を保持すると共に、当該アクセス制御情報に基づくアクセス制御を実行するアクセス制御手段を備えた集中管理装置とを具備する情報流通システムにおいて、
   前記データ要求側装置及びデータ提供側装置の少なくとも一方は、
   自装置が保存するデータに対するアクセス制御に必要な条件が記述されたアクセス制御情報を保存する手段と、
   前記データ要求側装置において前記アクセス要求が生成されたとき、当該アクセス要求の内容を表す情報を取得する手段と、
   前記取得されたアクセス要求の内容を表す情報を、前記保存されているアクセス制御情報に記述された条件と照合し、アクセス制御条件を満たしているか否かを判定する手段と、
   前記アクセス制御条件を満たしていると判定された場合に、前記取得されたアクセス要求の内容を表す情報及び前記保存されているアクセス制御情報に基づいて、提供対象のデータに対するアクセス制御を自装置内で実行する手段と、
   前記アクセス制御条件を満たしていないと判定された場合に、前記集中管理装置にアクセス制御を振り分けて、当該集中管理装置のアクセス制御手段にアクセス制御を実行させる手段と
   を備えることを特徴とする情報流通システム。
2. 前記データ要求側装置及びデータ提供側装置の少なくとも一方は、
   前記取得されたアクセス要求の内容を表す情報が、前記自装置内でのアクセス制御に必要な情報要素を全て含んでいるか或いは不足しているかを判定する不足判定手段と、
   前記必要な情報要素が不足していると判定された場合に、前記集中管理装置に対し問い合わせを行って該当するアクセス制御情報を取得する再取得手段と
   を、さらに備えることを特徴とする請求項１記載の情報流通システム。
3. 前記不足判定手段及び再取得手段は、前記自装置内でのアクセス制御に必要な情報要素が全て取得できるまで、不足判定処理及び再取得処理を予め設定した回数を限度に繰り返し実行することを特徴とする請求項２記載の情報流通システム。
4. 提供対象のデータを保存する複数のデータ提供側装置と、前記保存されたデータに対するアクセス要求を生成するデータ要求側装置と、前記複数のデータ提供側装置及びデータ要求側装置に対しネットワークを介して接続され、前記複数のデータ提供側装置に保存されたデータに対するアクセス制御に必要なアクセス制御情報を保持すると共に、当該アクセス制御情報に基づくアクセス制御を実行するアクセス制御手段を備えた集中管理装置とを具備する情報流通システムにおいて実行されるアクセス制御方法であって、
   前記データ要求側装置及びデータ提供側装置の少なくとも一方が、自装置が保存するデータに対するアクセス制御に必要な条件が記述されたアクセス制御情報を記憶手段に保存する過程と、
   前記データ要求側装置及びデータ提供側装置の少なくとも一方が、前記データ要求側装置において前記アクセス要求が生成されたとき、当該アクセス要求の内容を表す情報を取得する過程と、
   前記データ要求側装置及びデータ提供側装置の少なくとも一方が、前記取得されたアクセス要求の内容を表す情報を、前記保存されているアクセス制御情報に記述された条件と照合し、アクセス制御条件を満たしているか否かを判定する過程と、
   前記データ要求側装置及びデータ提供側装置の少なくとも一方が、前記アクセス制御条件を満たしていると判定された場合に、前記取得されたアクセス要求の内容を表す情報及び前記保存されているアクセス制御情報に基づいて、提供対象のデータに対するアクセス制御を自装置内で実行する過程と、
   前記データ要求側装置及びデータ提供側装置の少なくとも一方が、前記アクセス制御条件を満たしていないと判定された場合に、前記集中管理装置にアクセス制御を振り分け、当該集中管理装置のアクセス制御手段にアクセス制御を実行させる過程と
   を備えることを特徴とするアクセス制御方法。
5. 前記データ要求側装置及びデータ提供側装置の少なくとも一方が、前記取得されたアクセス要求の内容を表す情報が前記自装置内でのアクセス制御に必要な情報要素を全て含んでいるか或いは不足しているかを判定する不足判定過程と、
   前記データ要求側装置及びデータ提供側装置の少なくとも一方が、前記必要な情報要素が不足していると判定された場合に、前記集中管理装置に対し問い合わせを行って該当するアクセス制御情報を取得する再取得過程と
   を、さらに備えることを特徴とする請求項４記載のアクセス制御方法。
6. 前記不足判定過程及び再取得過程は、前記自装置内でのアクセス制御に必要な情報要素が全て取得できるまで、不足判定処理及び再取得処理を予め設定した回数を限度に繰り返し実行することを特徴とする請求項５記載のアクセス制御方法。

Images